Vishing en phishing in een realistisch scenario
Bij een vishingtest bel ik met een geloofwaardig verzoek. Bij spear phishing gebruik ik een e-mail die aansluit op een functie, leverancier, project of intern proces. Vooraf spreken we precies af wie ik mag benaderen, wat ik mag vragen en wanneer het scenario stopt.
Wat we kunnen testen
- Het verstrekken van vertrouwelijke informatie via de telefoon
- Doorverbinden naar afdelingen of sleutelfunctionarissen
- Verzoeken om wachtwoordherstel, betaalgegevens of wijzigingen
- Herkenning en melding van verdachte e-mails
- Weerbaarheid tegen urgentie, autoriteit en geloofwaardige voorwendselen
Wat telt bij de beoordeling?
Een klik of antwoord is maar één moment. Ik kijk ook of iemand controleert, terugbelt of het verzoek meldt en of die melding bij de juiste persoon terechtkomt. Namen laat ik achterwege; het gaat om het proces en de omstandigheden waarin medewerkers hun keuze maakten.
Combineren met fysieke social engineering
Een telefoonscenario kan worden gekoppeld aan een inlooptest, bijvoorbeeld door vooraf een afspraak, naam of intern detail te verkrijgen.